Ciberataque à GMO no Japão: contas de trading devastadas, GMO Coin diz estar poupada

Robôs de trading virados contra os seus proprietários. No Japão, a GMO Internet confirmou o roubo de informações de clientes no << Onamae.com Desktop Cloud >>, o seu serviço de servidores virtuais alugado por milhares de traders forex para operar MT4 e MT5. A exchange própria, GMO Coin, afirma não ter notado qualquer operação fraudulenta nas suas contas.

Os pontos-chave deste artigo:

• A GMO Internet confirmou o roubo de informações de clientes no seu serviço << Onamae.com Desktop Cloud >>, utilizado por milhares de traders forex.
• A GMO Coin, a plataforma de exchange de criptomoedas do grupo, foi poupada de operações fraudulentas, mas aconselhou os seus utilizadores a tomarem medidas de segurança adicionais.
• Após a descoberta de programas maliciosos em alguns servidores, a GMO recusou pagar um resgate e solicitou a intervenção do Estado para aplicar a ciberdefesa ativa.

GMO Coin poupada, mas em alerta

GMO Coin, a plataforma de exchange de criptomoedas do grupo, publicou um aviso no 23 de outubro. Neste, esclarece que nenhuma operação não autorizada foi confirmada até agora nas suas contas de clientes.

A exchange pede, no entanto, aos seus utilizadores que verifiquem o seu histórico de ordens e saldos, que ativem uma passkey e as notificações de login. Acima de tudo, aconselha-os a remover as chaves API não utilizadas ou desconhecidas. Uma chave API é a chave que permite a um software de terceiros, como um bot, passar ordens em seu nome.

Os stablecoins do grupo não aparecem em nenhum dos cinco relatórios publicados pela GMO Internet. GYEN e ZUSD, emitidos pela GMO Trust em Nova Iorque, estão de qualquer forma em processo de liquidação. Os seus detentores podem resgatá-los à paridade até 11 de novembro de 2026, sem ligação conhecida com o ataque.

O que aconteceu nos servidores da GMO

Tudo começou com uma mensagem de cliente no 19 de outubro. No dia seguinte, a GMO Internet descobre programas maliciosos instalados em alguns servidores. No 21 de outubro às 4 horas, o fornecedor corta todas as ofertas.

O número de 26 739 servidores circula muito no X. É correto, mas refere-se às máquinas potencialmente expostas. A GMO esclarece que não se trata do número de servidores efetivamente comprometidos.

O problema vem do que essas máquinas continham. Os traders deixavam os seus softwares MT4 e MT5 a funcionar continuamente conectados aos seus corretores, incluindo identificações. Alguns clientes viram depois ordens que nunca tinham dado. A imprensa japonesa cita um particular de Kanagawa que teria perdido cerca de 4 milhões de ienes em dois segundos.

A OANDA Japan, XMTrading, Titan FX, AXIORY e IronFX pediram aos seus clientes que mudassem as suas palavras-passe. Desde 22 de outubro, a Agência de Serviços Financeiros (FSA) pediu aos corretores forex, através da sua associação profissional, que monitorizassem transações anormais.

Resgate recusado e apelo ao Estado

O quarto relatório da GMO, datado de 24 de outubro, confirma que informações de clientes foram de fato exfiltradas. A empresa não diz quais. Revela também ter recebido um pedido de resgate, cujo montante não é comunicado.

As ameaças estão detalhadas no comunicado oficial da GMO. O atacante promete continuar a passar ordens destrutivas em contas abertas em mais de 70 corretores japoneses e estrangeiros, publicar dados de clientes e lançar um ransomware. Este número de 70 vem, portanto, do próprio hacker. Nenhum balanço oficial o confirma.

A GMO recusa pagar e transmitiu as suas comunicações à polícia. O grupo reembolsará as perdas realizadas em ordens fraudulentas e pagará 5 000 ienes a cada cliente, afetado ou não. O serviço não será restabelecido.

【Importante】Pedido de desculpas e aviso sobre o acesso não autorizado ao "Onamae.com Desktop Cloud" (4ª comunicação)

Pedimos sinceras desculpas por qualquer inconveniente e preocupação causados aos nossos clientes.

Informamos que foram tomadas as seguintes medidas:
① Pagamento de um valor de 5 000 ienes a todos os clientes em uso...
--- Grupo GMO Internet (@GMOGroup) 24 de outubro de 2026

Mais incomum, a GMO pediu ao governo para aplicar a ciberdefesa ativa, que entrou em vigor a 1 de outubro. Esta lei autoriza a polícia ou as Forças de Autodefesa a neutralizar remotamente os servidores de um atacante. Questionado pela imprensa, o secretário-geral do governo Minoru Kihara recusou-se a comentar um caso específico. Segundo ele, o Estado avaliará a oportunidade de uma neutralização com ou sem pedido da empresa.

Segundo o Nikkei, o governo reúne esta segunda-feira à noite os ministros envolvidos para enfrentar uma série de ciberataques.

Bots de criptomoedas e VPS: o mesmo ponto fraco

Substitua MT5 por um bot de trading em grid e um corretor forex por Binance. O esquema permanece idêntico. Muitos traders de criptomoedas alugam um VPS para executar os seus scripts dia e noite, com chaves API armazenadas em texto claro na máquina.

O Japão conhece o preço dessas falhas. Em maio de 2024, a DMM Bitcoin perdeu 4 502,9 BTC, ou cerca de 305 milhões de dólares. O FBI e a polícia japonesa atribuíram o roubo ao grupo norte-coreano TraderTraitor, uma ramificação do Lazarus. A exchange anunciou o seu encerramento em dezembro de 2024.

Para a GMO, nada permite identificar o autor até ao momento. O método também difere. Ninguém esvaziou uma wallet. O hacker usou os acessos das vítimas para destruir o seu capital com ordens perdedoras.

Se um bot estiver a funcionar num servidor alugado, as suas chaves API nunca devem ter permissão de retirada e devem ser limitadas ao endereço IP desse servidor. Os clientes da GMO receberão as condições de reembolso até ao dia 6 de novembro.